Palo Alto Networks hat Sicherheitsupdates für eine RCE-Schwachstelle in PAN-OS veröffentlicht, die Angreifer bereits gegen die Verwaltungsoberflächen von Firewalls ausgenutzt haben. Die als CVE-2026-0322 erfasste Sicherheitslücke ermöglicht es authentifizierten Angreifern, Code mit Root-Rechten auszuführen.
Das Unternehmen bestätigte in seiner Sicherheitsmitteilung vom 14. Oktober eine begrenzte Ausnutzung der Schwachstelle. Allerdings benötigen Angreifer gültige Zugangsdaten und Netzwerkzugriff auf die Verwaltungsoberfläche, bevor sie die Sicherheitslücke ausnutzen können.
Schwachstelle betrifft Firewalls und Panorama-Appliances
CVE-2026-0322 hat einen Schweregrad von 8,6 und betrifft die Verwaltungsoberfläche von PAN-OS.
Zu den betroffenen Produkten gehören Firewalls der PA-Series und VM-Series sowie virtuelle Panorama-Appliances und Geräte der M-Series. Cloud NGFW und Prisma Access sind dagegen nicht von der Schwachstelle betroffen.
Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, Code mit Root-Rechten auf einem anfälligen Gerät auszuführen. Die Voraussetzung bereits vorhandener Zugangsdaten und des Zugriffs auf die Verwaltungsoberfläche schränkt jedoch die Bedingungen ein, unter denen ein Angriff erfolgreich sein kann.
Palo Alto Networks empfiehlt Kunden daher, den Verwaltungszugriff auf vertrauenswürdige interne IP-Adressen zu beschränken.
Sicherheitsupdates beheben die RCE-Schwachstelle in PAN-OS
Das Unternehmen hat Korrekturen für betroffene Versionen von PAN-OS 10.2, 11.1, 11.2, 12.1 und 12.2 veröffentlicht.
Zum Zeitpunkt der Sicherheitsmitteilung erwartete das Unternehmen, dass eine Korrektur für PAN-OS 11.2.16 am 15. Oktober verfügbar sein würde. Kunden, die ältere, nicht mehr unterstützte Versionen verwenden, müssen hingegen auf eine unterstützte Version wechseln.
Administratoren sollten die Sicherheitsmitteilung prüfen, um die passende korrigierte Version für ihre jeweilige Installation zu ermitteln. Eine Einschränkung des Verwaltungszugriffs reduziert zwar die Gefährdung, ersetzt jedoch nicht das Sicherheitsupdate.
Nach Angaben des Unternehmens gibt es keine bekannte Übergangslösung für die Schwachstelle.
Threat Prevention bietet nur teilweisen Schutz
Kunden mit einem Threat-Prevention-Abonnement können Signaturen aktivieren, die bekannte Angriffsmuster im Zusammenhang mit der Schwachstelle erkennen.
Palo Alto Networks weist jedoch darauf hin, dass dieser Schutz Einschränkungen unterliegt. Angreifer könnten Varianten einsetzen, die von den aktuellen Signaturen nicht erkannt werden.
Daher sollten Unternehmen den signaturbasierten Schutz nicht als vollständige Verteidigungsmaßnahme betrachten. Das Unternehmen empfiehlt, betroffene Installationen auf eine nicht anfällige Version zu aktualisieren.
Die Schwachstelle wurde von einem internen Produktsicherheitsforscher entdeckt.
Drei IP-Adressen mit Angriffen in Verbindung gebracht
Palo Alto Networks veröffentlichte drei IP-Adressen, die mit Angriffen unter Ausnutzung von CVE-2026-0322 in Verbindung stehen:
66.42.72[.]14208.83.239[.]114149.248.47[.]234
Diese Indikatoren liefern Sicherheitsteams konkrete Adressen, die sie im Rahmen ihrer Untersuchungen überprüfen können. Die verfügbaren Informationen lassen jedoch weder erkennen, wann die Ausnutzung begann, noch wer hinter den Angriffen steckt.
Auch bleibt unklar, ob die beobachteten Aktivitäten zur Kompromittierung von Firewalls oder zum Zugriff auf interne Netzwerke geführt haben.
CISA setzt Frist für Gegenmaßnahmen auf den 17. Oktober
Die US-amerikanische Cybersicherheitsbehörde Cybersecurity and Infrastructure Security Agency hat CVE-2026-0322 in ihren Katalog bekannter aktiv ausgenutzter Schwachstellen, Known Exploited Vulnerabilities, aufgenommen.
Zivile US-Bundesbehörden müssen bis zum 17. Oktober Maßnahmen zur Behebung der Schwachstelle ergreifen. Die Frist folgt auf die Bestätigung, dass Angreifer die Sicherheitslücke bereits bei tatsächlichen Angriffen ausgenutzt haben.
Für betroffene Organisationen konzentrieren sich die Empfehlungen des Herstellers darauf, eine korrigierte Version zu installieren und den Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdige interne Adressen zu beschränken.
0 Kommentare zu „RCE-Schwachstelle in PAN-OS wird bei Angriffen ausgenutzt – Palo Alto veröffentlicht Sicherheitspatches“